摘要：HTTPS 的普及表明，平台规则与用户界面可以共同推动安全技术成为日常基础设施。邮件领域也出现了类似变化：DMARC 已进入部分大型邮箱平台的批量发件要求，BIMI 与 VMC 则将域名认证和品牌标识展示联系起来。但两者的普及动力并不相同，企业应先治理发信身份，再判断品牌证书的适用价值。
过去，企业是否部署 HTTPS，常被当作网站项目中的一个技术选项。后来，浏览器开始明确提示 HTTP 页面“不安全”，安全连接逐渐成为用户与网站运营者共同的预期。邮件领域今天面对的问题也很直接：只看一个熟悉的发件名称，收件人很难判断这封信是否真的来自所声称的品牌。
DMARC 和 VMC 因此经常被放进同一个问题里讨论：邮件身份验证，会不会沿着 HTTPS 的路径普及？
答案需要拆开看。DMARC 与邮件投递规则的联系正在加强；VMC 则服务于具备相应认证、商标和平台支持条件的品牌展示。前者更接近发信基础设施要求，后者需要企业结合受众与业务价值选择。把两者都说成所有企业迟早必须采购的“邮件版 SSL”，并不准确。
HTTPS 留下的经验是平台如何改变采用动力
Chrome 在 2018 年宣布，从当年 7 月发布的 Chrome 68 开始，将所有 HTTP 页面标记为“不安全”。这个变化让原本主要由技术人员理解的连接风险，出现在了普通用户的访问界面中。
邮件也有类似的推动机制。当收件平台把身份认证写进发件规则，企业就需要把域名、发信系统和认证配置纳入日常运维；当客户端能够展示经过验证的品牌标识，市场和品牌部门也有了参与部署的理由。
相似之处在于平台会改变企业的实施优先级。差异则在于保护对象：HTTPS 保护浏览器与服务器之间的连接，DMARC 核验邮件认证域与可见发件域的关系并声明处理策略，VMC 为品牌标识的使用提供证书依据。它们不能简单地互相替代。
先厘清 DMARC BIMI 与 VMC 的关系
DMARC 建立在 SPF、DKIM 之上。它不只是检查邮件有没有通过某个认证，还要检查通过认证的域是否与用户看到的 From 发件域满足对齐要求。对于直接发送的邮件，只要一项适用机制通过且完成对齐，就可以满足 DMARC 的认证判断；具体邮箱平台仍可能另外要求同时配置 SPF 和 DKIM。
域名所有者还可以通过DMARC 发布处理策略，表达对认证失败邮件的处理意愿，并接收相关报告。p=none 主要用于观察，不等于已经要求隔离或拒收仿冒邮件；实际处理仍由收件平台结合自身规则决定。
BIMI 关注的是品牌标识怎样与通过认证的邮件关联，并在支持它的邮箱界面展示。VMC，即验证标记证书，为符合条件的品牌标识提供证书验证，通常涉及注册商标与组织等审核。VMC 不对每封邮件的正文进行 S/MIME 式签名，也不承担邮件内容加密。
因此，企业可以部署 DMARC 而不申请 VMC；但计划在目标平台使用 VMC 配合 BIMI 展示标识，就必须先满足相应认证与部署条件。证书、DNS 记录和平台展示规则属于同一条实施链路，单独上传一张 Logo 图片并不能完成。
现行要求显示出两种不同的门槛
Gmail 的发件指南自 2024 年起对发送至个人 Gmail 账号的邮件提出认证要求。其中，向个人 Gmail 账号每天发送约 5,000 封及以上邮件的批量发件人，需按指南配置 SPF、DKIM 和 DMARC，并满足相应域名对齐等要求。这是特定平台、特定发件范围的规则，不能扩展成所有邮箱对所有发件人的统一规定。
这项批量发件要求允许DMARC 使用 p=none。Gmail 的 BIMI 配置要求则更进一步：DMARC 策略需达到适用的全量 quarantine 或 reject 要求，p=none 不满足 BIMI 条件。也就是说，达到基本发件要求，与达到品牌标识展示条件，并不是同一个验收结果。
Gmail 当前支持使用 VMC 或 CMC 配合 BIMI。按照其配置说明，VMC 对应的发件人可显示验证勾选标记；CMC 为符合要求但未注册商标的标识提供另一条认证路径，展示效果和条件需要分别核对。不能把所有品牌头像都当成 VMC 的验证结果，也不能认为取得证书后所有邮箱客户端都会采用同一种显示方式。
更不能把身份认证当成收件箱位置的保证。邮件内容、用户投诉、发送习惯及其他平台规则仍会影响投递；品牌标识也不意味着邮件内每个链接、附件或交易请求都已经过安全审查。
下一阶段更可能是分层普及
从这些已经生效的要求出发，可以作出一个趋势判断：邮件身份治理会继续从单次DNS 配置，转向持续的发信来源管理。企业每增加一个 CRM、工单系统或营销平台，都需要核对它代表哪个域发信、使用谁的 DKIM 签名，以及是否与 From 域对齐。只在首次上线时检查一次，后续系统变更仍可能留下缺口。
品牌展示的采用则更可能因业务而异。频繁向客户发送订单、账单或账号通知的企业，通常更有必要评估收件箱中的品牌辨识；主要进行低频、固定联系人往来的企业，应先判断目标邮箱的支持情况与实际需求。不能仅凭HTTPS 的历史，就推导出 VMC 将在某一年全面强制。
证书路径也已出现分化。CMC 的存在说明，品牌标识展示并非只有 VMC 一种形式。不同证书的适用标识与客户端展示存在差别，企业的选型应由标识资格、收件人分布和所需展示效果共同决定。未来支持范围可能继续变化，采购前仍需核对目标平台的现行要求。
这些是基于现有规则的分析，不是新的强制时间表。值得提前准备的是企业自己的身份、域名和品牌资料，而不是为尚未公布的要求抢先做承诺。
企业现在该先完成什么
第一步，整理真正的发信来源。把员工邮箱、官网通知、客户管理、营销订阅和第三方代发分别列出，确认各自使用的From 域、认证域和维护责任人。尤其要核对那些“系统已经用了多年，但没有人负责 DNS”的来源。
第二步，用认证结果与报告验证正常业务。观察期的作用是发现合法系统的配置缺口，不能把所有失败记录都当成攻击。准备提高DMARC 策略强度时，应先修复合法来源，并测试转发、邮件列表等间接投递场景，避免为显示品牌标识而让真实业务邮件被误处理。
第三步，再评估 VMC 或其他适用的标记证书。市场部门准备标识与权利资料，技术部门核对 BIMI、DNS、证书及文件托管要求，业务部门提供主要收件平台与使用场景。上线后，持续关注证书期限、文件可访问性和实际展示结果。
试点效果也应分开衡量：认证通过率与异常来源用于检查技术治理，目标客户端的展示情况用于验证部署，客户互动变化则需要结合相同类型邮件、受众及发送条件观察。不能把一次打开率上升全部归因于VMC，也不应承诺固定的增长幅度。
GlobalSign 的标记证书方案
GlobalSign 中国官网提供 VMC 与 CMC 标记证书介绍。VMC 面向符合要求的注册商标标识；CMC 面向能够证明满足既定使用条件的标识。企业可以结合商标资料、发信域和目标收件平台，评估适用类型及部署安排。
对于 GlobalSign 的品牌邮件方案，实施重点应放在域名认证、标识资格与实际展示的衔接。证书是其中一环，企业仍需维护 SPF、DKIM、DMARC 和 BIMI 配置，并按平台规则验证效果。
FAQ
1 问 只设置 DMARC 就一定能显示企业 Logo 吗
答：不能。DMARC 提供认证对齐和策略基础，品牌展示还涉及 BIMI、适用证书、标识文件以及收件平台支持等条件。
2 问 p=none 已满足批量发件要求 为何还不能用于 Gmail 的 BIMI
答：批量发件基础要求与BIMI 展示要求不同。Gmail 允许相关批量发件人的 DMARC 使用 p=none，但 BIMI 要求适用的全量隔离或拒收策略，应分别验收。
3 问 VMC 能彻底阻止别人冒充我们的品牌吗
答：不能。它帮助验证符合条件的品牌标识，并在支持的环境中参与展示；对方仍可能注册相似域名、仿造显示名称或滥用已失陷账号。反仿冒需要域名治理、账号保护与业务复核共同配合。
4 问 国内客户为主的企业 是否也应该立即采购
答：先确认客户实际使用的邮箱服务和客户端是否支持预期展示，再判断投入。即使暂不实施VMC，整理发信来源和完善域名认证也可以独立推进，不能把海外平台的展示能力直接套用于全部国内邮箱。
资料来源
GlobalSign 标记证书
https://www.globalsign.cn/mark-certificate
Google Gmail 发件指南
https://support.google.com/mail/answer/81126
Google BIMI 配置要求
https://knowledge.workspace.google.com/admin/security/set-up-bimi
Chromium Blog A secure web is here tostay
https://blog.chromium.org/2018/02/a-secure-web-is-here-to-stay.html